Kiekkist
Menü
EN

Ratgeber · 2026-10-31

Theme gekauft, was nun? Der Weg vom Download bis zur fertigen Website

Was nach dem Kauf eines Website-Designs kommt: Export, Inhalte, CMS-Wahl, EU-Hosting, Domain, Rechtsseiten, Prüfung, Übergabe und Pflege.

Theme gekauft, was nun?

Du hast ein Design heruntergeladen. Im ZIP liegen Seiten, Tokens, Schriften, Bilder und eine Anleitung. Bis daraus eine Website wird, die online ist, dem Kunden gehört und in zwei Jahren noch läuft, fehlen ein paar Schritte. Die meisten sind schnell erledigt. Ein paar entscheiden darüber, wie viel Arbeit die Seite dich später kostet.

Diese Anleitung geht die Schritte in der Reihenfolge durch, in der du sie brauchst.

1. Exportziel wählen: statisch oder WordPress

Die erste Entscheidung bestimmt fast alles, was danach kommt.

Statisch (Astro oder reines HTML) heißt: Die Seite wird einmal gebaut, danach liegen nur noch Dateien auf dem Server. Kein PHP, keine Datenbank, keine Plugins, die nachts aktualisiert werden wollen. Für eine Leistungsseite, eine Landingpage oder einen Funnel mit Formular ist das fast immer die bessere Wahl.

WordPress ist sinnvoll, wenn der Kunde WordPress schon kennt, viele Leute im Team Beiträge schreiben oder ein bestimmtes Plugin wirklich gebraucht wird. Dann gehört aber auch ein Update-Plan dazu, siehe Schritt 10.

Faustregel: Ändert sich der Inhalt seltener als einmal im Monat, nimm statisch. Die Exportbefehle stehen in der README.md des Pakets.

2. Inhalte ersetzen

Bevor du irgendetwas veröffentlichst, ersetzt du alle Musterdaten: Namen, Adressen, Preise, Öffnungszeiten, Fotos. Die Platzhalter sind markiert. Lies vorher DESIGN.md, dort steht, welche Bausteine es gibt und wofür sie gedacht sind.

Drei Dinge, die oft vergessen werden:

  • Alternativtexte für jedes neue Bild. Ein Satz, was zu sehen ist. Rein dekorative Bilder bekommen einen leeren Alternativtext.
  • Überschriften-Reihenfolge einhalten. Keine Ebene überspringen, nur eine H1 pro Seite.
  • Bildrechte klären. Fotos von der alten Website des Kunden nur übernehmen, wenn klar ist, woher sie stammen. Das ist bei Umzügen die häufigste Falle.

Beim Inhalt hilft ein einfacher Grundsatz: Lieber fünf oder sechs Abschnittstypen, die der Kunde versteht, als zwanzig Sonderfälle, die niemand anfasst.

3. Braucht der Kunde ein CMS?

Ehrliche Antwort: oft nicht. Viele kleine Betriebe loggen sich nie ein, auch wenn sie ein Redaktionssystem bekommen. Sie schicken eine Mail mit der Änderung. Dafür brauchst du kein CMS, nur eine verlässliche Zusage, wie schnell Änderungen online sind.

Ein CMS lohnt sich, wenn jemand regelmäßig ohne dich veröffentlicht: Blog, Referenzen, Stellenanzeigen, Veranstaltungen. Dann ist die Frage, welches.

Typ Beispiele Wo es läuft Für Redakteure Laufender Aufwand Lock-in
Kein CMS Markdown im Repo nirgends extra entfällt, Agentur pflegt sehr gering keiner
Git-basiert Sveltia CMS, Decap CMS, Keystatic Oberfläche im Browser, Inhalte als Dateien im Repo Felder statt Baukasten, für Text und Bild gut gering, keine Datenbank sehr gering, Dateien bleiben deine
Selbst gehostet mit Datenbank Payload, Directus eigener Server mit Datenbank mächtig, eher für Teams hoch: Updates, Backups, Monitoring pro Instanz mittel bis hoch
SaaS Storyblok, Contentful beim Anbieter sehr komfortabel, visuelles Editieren gering für dich, dafür Lizenz mittel, API-gebunden

Worauf du achten solltest:

  • Git-Anbieter: Keystatic arbeitet online laut eigener Doku nur mit GitHub-Repositories. Decap unterstützt GitHub, GitLab, Gitea, Forgejo, Bitbucket und Azure. Sveltia CMS versteht sich als Nachfolger von Netlify/Decap CMS und unterstützt GitHub, GitLab sowie Gitea/Forgejo. Liegt dein Repo auf einem eigenen Gitea oder Forgejo, fällt Keystatic online also raus.
  • Lizenz und Telemetrie: Directus ist für Organisationen unter 5 Mio. US-Dollar Umsatz und unter 50 Beschäftigten kostenlos. Das Abschalten der Telemetrie steht laut Preisseite im Enterprise-Tarif. Wenn du deinen Kunden Datensparsamkeit versprichst, gehört das in die Abwägung.
  • Framework: Payload ist technisch stark, baut aber auf Next.js auf. Mit Astro arbeitest du dann gegen den Strich.
  • EU-Standort: Storyblok sitzt in Österreich. Bei SaaS gilt: AV-Vertrag abschließen, Region prüfen, Lizenz auf den Kunden laufen lassen, nicht auf dich.
  • Barrierefreiheit: Sobald der Kunde selbst editiert, kann er sie kaputt machen. Bau die Felder so, dass Alternativtexte Pflicht sind und Überschriftenebenen nicht frei wählbar.

Mehr zur Abwägung steht im Leitfaden Headless CMS für kleine Websites.

4. Hosting in der EU

Eine statische Seite braucht wenig: einen Webspace mit TLS-Zertifikat, am besten mit SFTP oder Git-Deployment. Zwei Beispiele (Listenpreise, abgerufen am 31.10.2026):

  • all-inkl Privat: 4,95 € im Monat inklusive MwSt., drei Domains inklusive.
  • Hetzner Webhosting S: 1,60 € im Monat netto, Domain separat.

Wichtiger als der Preis: Der Vertrag läuft auf den Kunden. Dann bleibt die Seite online, auch wenn du als Agentur ausfällst, und beim Ausstieg gibt es keinen Streit. Du bekommst Zugang, der Kunde bleibt Eigentümer.

Ein eigener Server mit Coolify oder ähnlichem lohnt sich erst, wenn du mehrere Seiten standardisiert betreibst und Backups, Monitoring und Updates fest eingeplant hast.

5. Domain und DNS

  • Die Domain gehört dem Kunden, nicht der Agentur. Ist sie bei einer früheren Agentur registriert, kläre den Umzug (AuthCode) vor dem Projektstart.
  • A- bzw. AAAA-Eintrag auf den Hoster, www als Weiterleitung auf die Hauptadresse oder umgekehrt, eine Variante festlegen.
  • Mail-Einträge (MX, SPF, DKIM) nicht anfassen, wenn du nicht weißt, wofür sie da sind. Ein falscher MX-Eintrag legt das Postfach des Betriebs lahm.
  • Bei einem Relaunch: Liste der alten URLs anlegen und 301-Weiterleitungen einrichten, sonst gehen Suchtreffer verloren.

6. Deployment

Statisch heißt: lokal oder in einer CI bauen, den dist/-Ordner hochladen. Gut ist ein Weg, der ohne dich funktioniert:

  • Git-Repository mit Build-Schritt, der automatisch per SFTP/FTPS deployt.
  • Als Notfallweg dokumentiert: lokal bauen, Ordner per FTPS hochladen.
  • Formulare an eine eigene Route oder ein kleines Skript auf dem Kunden-Hosting, mit Honeypot statt Captcha-Dienst. Keine Formulardienste aus Drittländern, wenn es sich vermeiden lässt.

7. Rechtsseiten

Deutsche Designs im Paket bringen Gerüste für Impressum, Datenschutz und Barrierefreiheitserklärung mit. Das sind Vorlagen mit den üblichen Pflichtangaben, keine Rechtsberatung.

  • Impressum nach § 5 DDG.
  • Datenschutzerklärung: Hoster, Formular, Statistik, Schriften. Mit null Drittanfragen ab Werk ist die Liste kurz. Jeder eingebettete Kartendienst, jedes Video und jedes Chat-Widget verlängert sie.
  • Cookie-Banner: Nach § 25 TDDDG brauchst du eine Einwilligung nur für Zugriffe aufs Endgerät, die nicht unbedingt nötig sind. Ohne Tracking-Cookies und ohne externe Einbettungen brauchst du kein Banner.
  • Die Texte verantwortet der Betreiber. Lass sie von einem Rechtstexte-Dienst oder einer Kanzlei erstellen oder prüfen.

8. Barrierefreiheitserklärung

Das Barrierefreiheitsstärkungsgesetz gilt seit 28.06.2025 für bestimmte Angebote an Verbraucher, vor allem Shops und Online-Buchungen. Kleinstunternehmen (unter 10 Beschäftigte und höchstens 2 Mio. € Umsatz oder Bilanzsumme) sind bei Dienstleistungen ausgenommen. Eine reine Infoseite eines Handwerksbetriebs fällt in der Regel nicht darunter.

Die Vorlage im Paket kannst du trotzdem nutzen. Schreib ehrlich hinein, was geprüft wurde, wie, und wo Leute Barrieren melden können. Schreib nicht „BFSG-konform garantiert“. Ob die Seite konform bleibt, hängt auch davon ab, was der Kunde später einpflegt.

9. Prüfen vor dem Livegang

Das Design ist vor dem Verkauf geprüft. Deine Inhalte noch nicht. Also nach dem Befüllen noch einmal:

  • Barrierefreiheit: automatischer Test (axe oder WAVE), dazu von Hand: mit der Tastatur durch alle Seiten, Fokus sichtbar, Zoom auf 200 %, Formular mit Screenreader-Beschriftungen.
  • Leistung: PageSpeed Insights oder Lighthouse, mobil. Zielwerte von Google: LCP höchstens 2,5 Sekunden, INP höchstens 200 Millisekunden, CLS höchstens 0,1. Nur knapp die Hälfte aller Websites schafft das mobil, also lohnt sich der Blick. Der häufigste Grund für schlechte Werte nach dem Befüllen: zu große Fotos.
  • Links und Formular: jeder Link einmal, das Formular einmal echt abschicken.
  • Fremde Anfragen: Im Netzwerk-Tab des Browsers nachsehen, ob die Seite irgendetwas von fremden Servern lädt. Ab Werk sollte das null sein.

Zur Einordnung: Bei 95,9 % der eine Million meistbesuchten Startseiten finden automatische Tests Barrierefreiheitsfehler (WebAIM Million 2026). Mit einem geprüften Design startest du weit vorn, verlierst den Vorsprung aber mit einem einzigen Bild ohne Alternativtext wieder.

10. Übergabe an den Kunden

Im Paket liegt unter UEBERGABE/ eine Vorlage für den Endkunden, ohne Hinweis auf den Designanbieter. Füll die Platzhalter aus. Rein gehört:

  • Adresse, Seitenliste, wo der Quellcode liegt.
  • Wie Texte und Bilder geändert werden, passend zur gewählten Technik.
  • Hosting, Domain, Postfächer: Anbieter und Vertragsinhaber.
  • Wo die Zugangsdaten liegen (Passwortmanager, nie im selben Dokument und nie per Mail).
  • Backups: wie oft, wo, wann zuletzt eine Wiederherstellung getestet wurde.
  • Was bei Ausfall zu tun ist und wer erreichbar ist.

11. Pflegeplan

Eine Website ist mit dem Livegang nicht fertig. Leg fest, wer was macht, und schreib es in die Übergabe:

Wie oft Was
bei Sicherheitsmeldungen Prüfen, ob die eigene Technik betroffen ist (PHP-Version beim Hoster, Node-Version im Build, CMS). Bei WordPress: Kern, Theme und Plugins aktualisieren.
monatlich Seite erreichbar, TLS-Zertifikat gültig, Formular kommt an, Backup vorhanden
vierteljährlich Inhalte prüfen: Öffnungszeiten, Preise, Ansprechpersonen. Abhängigkeiten im Build aktualisieren und neu bauen.
jährlich Barrierefreiheit und Ladezeit neu messen, Domain-Laufzeit prüfen, Wiederherstellung aus dem Backup einmal ausprobieren

Bei einer statischen Seite ist das wenig Arbeit. Bei WordPress oder einem CMS mit eigener Datenbank ist es mehr, und es sollte im Angebot stehen, statt nebenbei zu passieren. Warum das wichtiger wird, steht in Betrieb und Pflege sind wichtiger als Design.

Wer diese Schritte nicht selbst übernehmen will: Heidrich Digital, die Webagentur hinter Kiekkist, richtet ein gekauftes Design ein und betreibt die Seite danach, mit Festpreis nach einem kurzen Gespräch. Was dazugehört und was nicht, steht unter Einrichtung und Betrieb.

Quellen

Quellen

  1. WebAIM Million 2026
  2. HTTP Archive, Web Almanac 2025, Performance
  3. web.dev: Web Vitals (Schwellenwerte LCP, INP, CLS)
  4. § 2 BFSG, Begriffsbestimmungen (Kleinstunternehmen)
  5. § 5 DDG, Allgemeine Informationspflichten (Impressum)
  6. § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
  7. Keystatic Docs: GitHub mode
  8. Decap CMS Docs: Backends overview
  9. Sveltia CMS Docs: Backends
  10. Directus Pricing (Lizenz, Telemetrie-Opt-out)
  11. Payload CMS
  12. Storyblok
  13. Contentful Pricing
  14. all-inkl.com Webhosting
  15. Hetzner Webhosting

Fragen

Muss ich nach dem Kauf eines Themes ein CMS einrichten?

Nein. Wenn Texte selten geändert werden oder die Agentur sie pflegt, reicht eine statische Seite ohne CMS. Ein CMS lohnt sich erst, wenn regelmäßig jemand ohne Entwickler veröffentlicht.

Astro/HTML oder WordPress: welches Exportziel ist besser?

Für Visitenkarten-, Leistungs- und Landingpages meist statisch (Astro oder HTML), weil es weniger zu warten gibt. WordPress passt, wenn der Kunde WordPress schon kennt und jemand die Updates verbindlich übernimmt.

Wo hoste ich eine statische Website in der EU?

Bei jedem EU-Webhoster mit TLS, zum Beispiel all-inkl oder Hetzner Webhosting, oder auf einem eigenen Server. Für eine statische Seite reicht der kleinste Tarif.

Brauche ich eine Barrierefreiheitserklärung?

Pflicht ist sie, wenn das BFSG für das Angebot gilt, etwa bei Shops oder Online-Buchungen für Verbraucher. Kleinstunternehmen mit Dienstleistungen sind ausgenommen. Freiwillig schadet sie nie.

Was gehört in die Übergabe an den Kunden?

Wo die Seite liegt, wem Domain und Hosting gehören, wie Texte geändert werden, wer Updates und Backups macht und wen man im Notfall anruft. Zugangsdaten getrennt davon im Passwortmanager.

Zur GalerieAlle Ratgeber